前言¶
在 DeepSeek Harness (DSH) 的生態中，數據庫安全評估是智能體開發與運維中常見的場景。達夢數據庫（DM8）作爲國產主流數據庫，其安全基線檢查往往涉及大量 SQL 查詢與配置覈對。手動編寫評估腳本不僅耗時，且難以統一口徑。
dsh-plugin-dm-security 插件旨在解決這一痛點。它通過只讀方式對 DM8 實例進行安全掃描，自動生成包含等保對照的評估結論與 HTML 報告，供開發者或運維人員直接使用。
插件介紹¶
這是一個針對達夢 DM8 數據庫的只讀安全評估插件。插件執行 60 項只讀檢查，覆蓋 13 個安全域，給出六態結論（嚴重/警告/提示/合規/不適用/未取到），並與等保 2.0（GB/T 22239-2019）控制點進行對照，最終輸出零依賴的 HTML 報告。
該插件由 Shiyuedong-Jade 維護，採用 MIT 許可證。
核心功能¶
- 60 項只讀檢查：覆蓋 13 個安全域，包括身份鑑別、認證方式、口令策略、自主訪問控制、強制訪問控制、安全審計、通信安全、存儲加密、資源限制、訪問路徑、暴露面與代碼安全，以及主機側 OS/SSH 檢查。
- 六態結論：對每一項檢查給出明確的狀態（嚴重/警告/提示/合規/不適用/未取到），便於快速定位風險。
- 等保 2.0 對照：支持 GB/T 22239-2019 標準，可選擇 2/3/4 級對照，給出條款級符合性判定。
- 主機側檢查：額外提供 7 項 OS/SSH 檢查（需提供 SSH 賬號），包括進程運行賬號、目錄權限、配置文件監聽、明文口令痕跡、審計文件保留週期等。
- 集羣支持：支持單實例與共享存儲集羣（DMDSC）的逐節點評估，並覈對節點間配置一致性。
- 零依賴報告：輸出單文件 HTML 報告，無外部腳本依賴，雙擊即可打開。
- 只讀設計：所有數據庫 SQL 均爲查詢語句，主機側僅執行 7 條只讀命令，不修改任何配置。
安裝與啓用¶
1. 安裝插件¶
在終端中執行以下命令安裝插件：
dsh plugin --profile web add github:Shiyuedong-Jade/DM-security
2. 準備環境¶
插件依賴以下環境：
- Node.js：版本 ≥ 20。
- Java：版本 ≥ 8。首次運行時會自動編譯橋接器，結果緩存在工作目錄。
- 達夢 JDBC 驅動：
DmJdbcDriver8.jar。插件不隨附該驅動，需自行準備。
3. 放置驅動¶
將達夢安裝目錄下的 JDBC 驅動複製到工作目錄：
| 平臺 | 路徑 |
|---|---|
| Windows | %USERPROFILE%\.dsh\dm-security\drivers\ |
| Linux | ~/.dsh/dm-security/drivers/ |
插件會自動查找該目錄下文件名匹配 DmJdbcDriver*.jar 的驅動。
4. 重啓¶
安裝完成後，重啓 dsh web 並刷新頁面。
典型用法¶
插件註冊了 dm_security_assess 工具，支持三種動作：
| action | 說明 |
|---|---|
assess |
僅在會話中輸出文本結論 |
report |
評估並生成 HTML 報告 |
list |
列出檢查項目錄，不連庫 |
基礎調用示例¶
使用默認配置或指定參數進行評估：
dm_security_assess action=report host=127.0.0.1 port=5236 user=SYSDBA level=3
連接參數¶
driver：指定連接模式。jdbc連接真實庫，demo使用內置樣例數據。targets：多節點目標（如 DMDSC），格式爲host:port，支持逗號或空格分隔。user/password：數據庫賬號與口令。建議在設置卡片中配置憑據，避免在命令行中暴露。level：等保對照級別，默認爲 3，可選 2 或 4。sshUser/sshPassword：若需執行主機側檢查，需提供 SSH 賬號與口令。
主機側檢查示例¶
若需同時檢查主機側安全基線：
dm_security_assess action=report host=127.0.0.1 port=5236 sshUser=dmdba sshPassword=xxx
注意事項¶
- 安全性：插件不保存口令到磁盤，僅記錄在會話日誌中。明文口令掃描在採集層會進行掩碼處理，報告不會出現原文。
- 只讀特性：所有 SQL 與主機命令均爲只讀操作，不會修改數據庫或主機的配置文件，適合在評估環境或生產環境直接運行。
- 適用範圍：普通版（標準版/企業版）不支持強制訪問控制與四權分立，相關項會判爲“不適用”。
- 源碼更新：插件宿主加載的是
profile目錄下的安裝副本。修改倉庫源碼後，需執行dsh plugin --profile web update dsh-plugin-dm-security才能生效。 - 報告輸出：報告默認輸出到工作目錄下的
dm-security-reports，文件名包含時間戳與對照級別。 - 未驗證環境：插件未在安全版（mac.* 六態路徑）、DM9、Windows 上達夢、ARM 架構（鯤鵬/飛騰）等環境下驗證。
結語¶
dsh-plugin-dm-security 爲 DSH 生態下的達夢數據庫安全評估提供了標準化的只讀解決方案。通過六態結論與等保對照，它可以幫助開發者快速識別安全基線問題。如需瞭解更多細節或查看報告樣例，可訪問插件目錄或 GitHub 倉庫。
